Bijlage 1 - Managementletter Gemeente Meppel 2021 (interimcontrole) BDO
Tekst van het document
MANAGEMENT LETTER 2021
Gemeente Meppel
Aanbiedingsbrief
Aan:
Geachte leden van de raad,
de raad van de gemeente Meppel t.a.v. de griffier Postbus 501 7940 AM MEPPEL
In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2021 van de gemeente Meppel brengen wij u met deze management letter verslag uit over onze bevindingen naar aanleiding van onze interim-controle.
Groningen, 13 december 2021 Kenmerk: EJJ/RvH/BD/AMT/1038040/017
Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar onze opdrachtbevestiging. In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelf controlerend vermogen van uw organisatie. Als gevolg van de aanhoudende coronacrisis zijn wij helaas beperkt in staat geweest om bij u op locatie te komen waardoor veel digitaal hebben moeten afstemmen. Ondanks de minder persoonlijke en directe contacten is de interim-controle en samenwerking goed verlopen. Wij vertrouwen erop u met deze management letter naar aanleiding van onze interim-controle 2021 van dienst te zijn geweest. Wij willen de organisatie bedanken voor de prettige samenwerking en zijn vanzelfsprekend graag bereid een nadere toelichting te verstrekken. Hoogachtend, BDO Audit & Assurance B.V. namens deze,
Ter informatie De digitale versie van dit document is vanaf de inhoudsopgave interactief. Aan de hand van de navigatiebalk onderaan de pagina en/of de menustructuur bovenaan de pagina kan door het document genavigeerd worden. VORIGE PAGINA
VOLGENDE PAGINA
INHOUDSOPGAVE
DASHBOARD
w.g. E.J. Jongsma RA Partner en extern accountant gemeente Meppel
Inhoudsopgave
1. DASHBOARD
2. ONTWIKKELINGEN & AANDACHTSPUNTEN
3. BEVINDINGEN SIGNIFICANTE PROCESSEN
4. INFORMATIEBEVEILIGING
5. BEVINDINGEN INTERNE CONTROLE
BIJLAGEN
4
1. Dashboard
1.1 Dashboard interim-controle
1.1 Dashboard interim-controle UW INTERNE BEHEERSING
BEHEERSING EN BEHEER IT KENT NOG AANDACHTSPUNTEN
In het kader van onze controle hebben wij de effectiviteit van de voor onze controle relevante processen beoordeeld.
Het college heeft in 2020 afgewogen welke ambities/mogelijkheden er zijn ten aanzien van de interne beheersing. Op basis hiervan heeft het college gekozen een aantal bevindingen op te volgen. Deze bevindingen zijn opgenomen in bijlage B.
De gemeente Meppel heeft in boekjaar 2021 actiepunten in gang gezet voor de processen inkoop & aanbestedingen en subsidies. Betreffende actiepunten zijn gericht om in boekjaar 2022 opvolging te geven aan de detailbevindingen.
Ten aanzien van onze IT-bevindingen acht de gemeente volledige opvolging niet haalbaar. Voor de controle beperken wij ons daarom tot een beperkte IT-audit.
Om bovengenoemde reden hebben wij dit jaar de IT-audit bevindingen beperkt gerapporteerd in deze management letter
De belangrijkste bevindingen vanuit voorgaand boekjaar blijven wel aanwezig. De resterende risico’s zullen wij achteraf/gegevensgericht controleren.
De belangrijkste bevindingen zijn: Geen formele autorisatiematrices aanwezig en toekenning op basis van voorbeeldgebruikers; Gebruikersreview onvoldoende vastgelegd; Geen zichtbare beoordeling op release notes en toegang tot service-ruimte is.
De interne beheersing van de gemeente Meppel is in opzet voldoende. Voor de accountantscontrole ook steunen op deze processen is nog niet mogelijk. Dit komt met name vanwege de bevindingen ten aanzien van IT General Controls en het proces voor logische toegangsbeveiliging wat aandachtspunten kent.
ONTWIKKELINGEN
5
VERBIJZONDERDE INTERNE CONTROLE
De impact van het coronavirus op de jaarrekening 2021 is naar verwachting beperkt. Wij adviseren om de (mogelijke) impact te blijven monitoren.
De rechtmatigheidsverantwoording van het college wordt naar verwachting ingevoerd met ingang van boekjaar 2022 in plaats van 2021. Voor boekjaar 2021 heeft u een plan van aanpak opgesteld om proef te draaien.
In februari 2021 is de best practice frauderisicobeheersing voor bestuurders en toezichthouders uitgebracht. Wij adviseren u in het verlengde daarvan meer aandacht te besteden aan het voorkomen en detecteren van fraude.
Vanuit onze natuurlijke adviesrol willen wij u attenderen op een aantal ontwikkelingen op het gebied van Sociaal Domein. In hoofdstuk 2 gaan wij dieper in op deze ontwikkelingen. Ter voorbereiding op de jaarrekeningcontrole geven wij graag enkele aandachtspunten mee die in hoofdstuk 4 zijn uitgewerkt.
DETAILBEVINDINGEN
KORTE OMSCHRIJVING RELEVANTE DETAILBEVINDINGEN
Een verdere doorontwikkeling van de VIC is in het licht van de aanstaande rechtmatigheidsverantwoording onzes inziens gewenst. De meerwaarde van de VIC voor de organisatie & onze controle kan nog worden vergroot door ‘aan de voorkant’ nog explicieter aandacht te geven aan de opzet en inrichting van de AO/IB per proces alsmede de formele rapportering daaromtrent. De samenwerking met het interne auditteam ervaren wij als goed. Tijdige afstemming van werkzaamheden zorgt er voor dat wij zoveel mogelijk kunnen aansluiten op de werkzaamheden die door het interne auditteam worden voorbereid. Een tijdige aanlevering is van belang om het strakke tijdspad van het jaarrekeningtraject te realiseren. Op de zogenaamde factsheets in Bijlage A bij deze management letter is aangegeven tot welke aanvullende werkzaamheden onze interim-bevindingen moeten leiden. Graag spreken wij af welke zaken primair door de VIC, en welke door ons worden opgepakt.
1
Inkopen & Aanbestedingen – Toetsing naleving aanbestedingsregels niet geborgd
3
Inkopen & Aanbestedingen – Functiescheiding beheer crediteurenstamgegevens niet geborgd
4
Sociaal domein – Zichtbaarheid aard en diepgang kwaliteitstoets WMO en Jeugd onvoldoende
5
Sociaal domein – Controle prestatielevering onvoldoende zichtbaar
6
Subsidies – Proces vaststelling subsidies onvoldoende verwerkt in de workflow
7
Subsidies – Onderscheid subsidies en overheidsopdrachten wordt niet zichtbaar getoetst
B1
Logische toegangsbeveiliging – Formele autorisatiematrices ontbreken
B2
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
Wijzigingenbeheer updates – Geen sprake van periodiek reviews
INTERNE CONTROLE
BIJLAGEN
6
2. Ontwikkelingen & Actualiteiten gemeente Meppel 2.1 Gevolgen coronacrisis voor de jaarrekening 2.2 Rechtmatigheidsverantwoording 2.3 Frauderisicobeheersing 2.4 Ontwikkelingen in het sociaal domein 2.5 Aandachtspunten jaarrekening 2021
2.1 Gevolgen coronacrisis voor de jaarrekening 2021
Gevolgen COVID-19 strak blijven monitoren
Interne controle voortvarend oppakken
Bijzondere aandacht voor vaststellen subsidies
7
Gevolgen Coronacrisis voor 2021 en verder Vorig jaar hebben wij samen met u veel aandacht besteed aan de gevolgen van de coronacrisis, voor de korte, middellange en lange termijn. Aan de hand van een impact-analyse en de corona-checklist zijn wij nagegaan wat de effecten waren en zijn voor de informatievoorziening aan de raad, de interne beheersing alsmede de financiële implicaties op korte en lange termijn. Met name door de onduidelijkheden in het begin van de crisis omtrent de financiële gevolgen en compensatie door het rijk waren het onzekere tijden. In de loop van de tijd bleek de impact voor de meeste gemeenten mee te vallen. Niettemin is het zaak alert te blijven op de ontwikkelingen en de afwikkeling van ontvangen rijksgelden. Ook de waardering van mogelijke verhoudingen met verbonden partijen verdienen hierbij extra aandacht. Wij adviseren u dit strak te monitoren en de gemeenteraad te blijven informeren over eventuele bijstellingen van de (meerjaren)begroting. Tozo en TONK Alle coronasteunmaatregelen eindigen per 1 oktober 2021, waardoor het rijk afspraken heeft gemaakt over de afronding van Tozo en TONK. Vanaf het einde van de Tozo per 1 oktober 2021 tot het eind van het jaar geldt een tijdelijk aangepast Besluit bijstandverlening zelfstandigen (Bbz). Ook de TONK is onderdeel van het coronasteunpakket dat per 1 oktober 2021 is afgerond.
Vanaf dan is het aan gemeenten om huishoudens in financiële nood te ondersteunen vanuit het gebruikelijke instrumentarium, zoals bijzondere bijstand. Uiteraard dienen beide regelingen in de jaarrekening/SiSa-bijlage te worden verantwoord. Van afgelopen voorjaar weten we inmiddels dat deze controle intensief kan zijn. Wij vragen dan ook uw aandacht voor een tijdige interne controle op de verstrekte uitkeringen, zodat de verantwoording goed kan verlopen. Vaststelling verstrekte subsidies Veelal worden de in 2020 verstrekte subsidies in het voorjaar van 2021 vastgesteld. Aan de hand van de in de subsidieverordening/beschikking opgenomen voorwaarden wordt nagegaan of een organisatie heeft voldaan aan de vereisten. Voor het jaar 2020 zal dat wellicht niet evident zijn; denk hierbij aan te leveren prestaties. Sommige gemeenten hebben (met de raad) afspraken gemaakt over de toe te passen handelswijze c.q. verantwoordingwijze. Indien dat niet het geval is adviseren wij dat alsnog te doen om zodoende de rechtmatigheid van de subsidievaststelling te kunnen waarborgen. Begin 2021 is in de raad het rekenkameronderzoek bij uw gemeente besproken. Daarbij richtte het onderzoek zich op de effectiviteit en de doelmatigheid van het subsidiebeleid.
De conclusies en aanbevelingen (zie factsheet Subsidies op pagina 33) die wij in lijn met de uitvoering van de interim van het subsidieproces zien zijn als volgt: • De algemene subsidieverordening is niet meer actueel; • Er kan geen compleet overzicht worden gegeven van de verleende subsidies; • Er zijn diverse gemeentelijke subsidies historisch gegroeid die niet geëvalueerd worden. De bevindingen vanuit het rekenkameronderzoek en vanuit onze interim-controle hebben niet directe invloed op de financiële rechtmatigheid van de subsidies, maar zien voornamelijk toe op de doelmatigheid.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
2.2 Rechtmatigheidsverantwoording (1/2)
Invoering rechtmatigheidsverantwoording 2022
8
Stand van zaken en kaders rechtmatigheidsverantwoording met ingang van 2022 Eind juni werd bekend dat de invoering van de rechtmatigheidsverantwoording een jaar is uitgesteld. Naar wij hebben begrepen staat de wetswijziging inmiddels voor januari 2022 op de agenda van de Tweede Kamer en zal deze worden ingevoerd met ingang van begrotingsjaar 2022. Daarmee is er ruimte ontstaan om, na een intensief jaar met corona, de invoering goed voor te bereiden. Eind augustus 2021 heeft de commissie BBV (na consultatie) een nieuwe kadernota Rechtmatigheid 2022 uitgebracht. Tegelijk met deze kadernota is eveneens een notitie over de paragraaf bedrijfsvoering en een addendum op de Kadernota Rechtmatigheid 2021 gepubliceerd. De verwachting is dat in het najaar de commissie SDO van de NBA nog een notitie voor accountants uitbrengt over de gevolgen van invoering van de rechtmatigheidsverantwoording en de commissie BADO over de wijze van verantwoorden vanuit de optiek van gemeenten. Daarmee worden zowel accountants als gemeenten geïnformeerd en gefaciliteerd om de rechtmatigheidsverantwoording goed te kunnen invoeren. Wij adviseren u om hier kennis van te nemen.
Nieuwe notities: • Kadernota 2022 • Addendum Kadernota 2021 • Notitie bedrijfsvoering
Hoofdlijnen Kadernota Rechtmatigheid 2022 In de Kadernota Rechtmatigheid 2022 wordt uitgebreid ingegaan op het bestuurlijk belang van rechtmatigheid voor de gemeenteraad. Daarnaast worden de reikwijdte, de normen, de verantwoordelijkheden van het college en de criteria van de rechtmatigheid beschreven. Ook wordt in de nota ingegaan op de toepassing van tolerantiegrenzen, afwijkingen en de weging hiervan en is een verplicht verantwoordingsmodel opgenomen. In de Kadernota is een aantal stellige uitspraken gedaan die moeten worden gevolgd, waarbij als eerste nadrukkelijk de rol van gemeenteraad wordt benoemd. Bij onduidelijkheden over de interpretatie van de rechtmatigheid moeten de gemeenteraad aangeven welke uitleg gegeven moet worden aan de regelgeving en dit vastleggen in een besluit. Het voert te ver om uitgebreid in te gaan op de inhoud van deze. Een aantal punten willen wij wel uitlichten: De Kadernota 2022 introduceert het begrip ‘onduidelijkheden’. Dit begrip geeft aan dat er situaties zijn waarin het ook voor het college niet duidelijk is of er rechtmatig gehandeld is. Deze moeten worden toegelicht en worden gewogen door de gemeenteraad. De commissie adviseert ook fraude door eigen medewerkers toe te lichten in de paragraaf bedrijfsvoering. Middels een verplicht model moet het college zich verantwoorden over de rechtmatigheid, afwijkingen en onduidelijkheden.
In de paragraaf bedrijfsvoering moet vervolgens een toelichting worden gegeven op de afwijkingen en de maatregelen die het college neemt om deze in de toekomst te voorkomen. De grens voor afwijkingen (zowel fouten als onduidelijkheden) wordt door gemeenteraad bepaald en is maximaal 3% van de lasten (inclusief mutatie reserves). Fouten en onduidelijkheden worden niet bij elkaar opgeteld. De invoering betekent eveneens dat de verordeningen 212, 213 en het normenkader moeten worden geactualiseerd. Tevens moeten afspraken worden gemaakt met de accountant. Bij aan derden uitbestede werkzaamheden is het belangrijk als gemeente zelf zekerheid te krijgen omtrent de rechtmatigheid. De wijze waarop dat kan is in de Kadernota uitgewerkt. Wij constateren dat de gemeente Meppel de benodigde interne controles die nodig zijn voor het kunnen afgeven van rechtmatigheidsverantwoording heeft ondergebracht in de VIC-samenwerking. Voor een nadere toelichting over de VIC-samenwerking verwijzen wij naar hoofdstuk 5. De gemeenteraad van Meppel heeft de grens voor afwijking bepaald op 1% van de lasten. Deze grens valt ruim binnen de gestelde grens vanuit de notitie.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
2.2 Rechtmatigheidsverantwoording (2/2)
9
Notitie bedrijfsvoering de plek om afwijkingen te rapporteren
Hoofdlijnen Notitie Bedrijfsvoering De belangrijkste boodschap van deze nieuwe notitie is dat het college in de paragraaf bedrijfsvoering aanvullende informatie opneemt over individueel geconstateerde afwijkingen in de rechtmatigheidsverantwoording. Daarbij moet het college beschrijven welke actie wordt ondernomen om deze in de toekomst te voorkomen. De notitie werkt een aantal aanbevelingen en voorbeelden omtrent de paragraaf bedrijfsvoering verder uit.
Beperkte wijzigingen in de rechtmatigheid voor (het laatste jaar) 2021
Hoofdlijnen Addendum kadernota Rechtmatigheid 2021 Het uitgangspunt van de commissie BBV is dat in principe weinig verandert in de rechtmatigheidscontrole over 2021, zeer waarschijnlijk het laatste jaar dat de accountant een verklaring afgeeft met betrekking tot de rechtmatigheid. De wijzigingen in het addendum op de Kadernota Rechtmatigheid 2021 zijn dan ook beperkt. Er wordt meer aandacht gevraagd voor fraude en M&O-beleid en niet financiële onrechtmatigheden in het kader van de Wet Fido moeten worden toegelicht in de paragraaf bedrijfsvoering.
Onze visie op de rechtmatigheidsverantwoording hebben wij eerder gedeeld
Onze visie op de rechtmatigheidsverantwoording BDO ziet, evenals de commissie BBV, de invoering van de rechtmatigheidsverantwoording als een kans om de controlerende rol van de gemeenteraad te versterken en te investeren in een verdere ontwikkeling van de bedrijfsvoering. Begin 2020 hebben wij hierover een visiepaper ‘Rechtmatigheidsverantwoording, een kans op meer control’ uitgebracht, met daarin een verschillende varianten en een invoeringsplan. Het gaat bij de invoering van de Rechtmatigheidsverantwoording om fundamentele vragen als: Op welke onderwerpen en met welke diepgang wilt u als gemeenteraad kaders stellen en controleren? In hoeverre werkt het college rechtmatig en/of bent u in control? In hoeverre is uw bedrijfsvoering, interne controle en IT-beheer op orde en wat is ervoor nodig om daar te komen? En misschien wel de moeilijkste vraag van allemaal: wat zijn de ambities en is de organisatie in staat om aan die doelen en verwachtingen te voldoen?
Wij denken graag met u mee over de invoering van de rechtmatigheidsverantwoording
De wijziging in de verantwoordelijkheden ten aanzien van rechtmatigheid betekent niet dat er minder rechtmatigheidscontroles moeten worden uitgevoerd, maar dat het college deze zelfstandig/intern moet inrichten, uitvoeren, controleren en rapporteren. Als accountant zullen wij die werkzaamheden vervolgens toetsen, teneinde te kunnen controleren en verklaren dat de rechtmatigheidsverklaring van het college een getrouw beeld geeft. Wij zien dat de gemeente Meppel de invoering van de rechtmatigheidsverantwoording aandacht geeft. Voor boekjaar 2021 is een concept plan van aanpak opgesteld om proef te draaien met de rechtmatigheidsverantwoording. Door middel van dit plan van aanpak acht de gemeente Meppel verantwoording aan het college mogelijk ten behoeve van de rechtmatigheid in de jaarrekening. Wij adviseren om op korte termijn het plan van aanpak definitief te maken. Een conceptversie van het uitvoeringsplan is gedeeld met ons. Wij denken graag met u mee over de invoering van de rechtmatigheidsverantwoording en voorzien u graag van aanvullend advies om de kwaliteit van het definitieve plan te vergroten.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
2.3 Frauderisicobeheersing (1/2)
Februari 2021 is de best practice frauderisicobeheersing voor bestuurders en toezichthouders uitgebracht De controleverklaring gaat ook meer aandacht besteden aan frauderisicobeheersing en continuïteit
Diverse voorbeelden van maatregelen om frauderisico’s te beheersen
Frauderisico indelen naar druk, gelegenheid en rechtvaardiging
DASHBOARD
10
Ontwikkelingen met betrekking tot fraude en de controle van de jaarrekening Zoals aangegeven in ons accountantsverslag zal de komende jaren vanuit de accountantscontrole nog nadrukkelijker aandacht worden gegeven aan fraudepreventie. In september 2021 heeft uw audit commissie ons verzocht om een aanvullende toelichting te geven aangaande het onderwerp frauderisicobeheersing. De gemeente Meppel laat hierin een proactieve houding zien. In februari 2021 heeft onze beroepsorganisatie de NBA heeft hiervoor een notitie “Best practice maatregelen frauderisicobeheersing voor bestuurders en toezichthouders” ter consultatie uitgebracht. In deze notitie komt nadrukkelijk de rol van bestuurders en toezichthoudende organen zoals de gemeenteraad bij het voorkomen en detecteren van fraude aan de orde. Door de nadruk te leggen op het voorkomen van fraude kunnen de gelegenheden tot fraude afnemen. Dit vraagt om actief toezicht op risico’s en beheersmaatregelen ter voorkoming van fraude. Begin september 2021 is tevens een nieuwe opzet van de controleverklaring ter consultatie uitgebracht. In de nieuwe controleverklaring, die zal ingaan van af boekjaar 2022, wordt van de accountants verwacht dat hij expliciete passages opneemt aangaande frauderisicobeheersing en continuïteit.
Zoals opgenomen in het consultatiedocument kunnen bestuurders en toezichthouders diverse maatregelen nemen om frauderisico’s te beheersen. De belangrijkste uit het consultatiedocument zijn: Zorgdragen voor een goede ‘Tone at the top’, cultuur en gedrag; Opstellen van diverse anti-corruptiemaatregelen (relaties met afnemers/leveranciers, gedragscodes t.a.v. nevenactiviteiten/ geschenken etc.); Een goede interne beheersing (AO/IB), waaronder een periodieke frauderisicoanalyse; Het organiseren van tegenspraak, controle/compliance functies en diversiteit; Aandacht voor werknemers en bestuursleden (b.v. persoonlijk omstandigheden die kunnen leiden tot druk om fraude te plegen); Periodieke medewerkers tevredenheidsonderzoeken; Fraudemeldpunt en klokkenluidersregeling; Contact en medewerking met uw accountant; Training en opleiding omtrent fraudebewustzijn; Een adequate administratie met aandacht voor (fraude-) risicovolle schattingsposten; Een transparant en integer beloningsbeleid; Een duidelijk plan om te reageren op (het vermoeden van) fraudes. Voor een andere toelichting op deze maatregelen verwijzen wij naar de best practice. In de bijlage bij de best practice zijn diverse frauderisico’s benoemd gerelateerd aan Frauduleuze verslaggeving of het oneigenlijk toe-eigenen van middelen.
Deze worden in de theorie en praktijk altijd ingedeeld naar drie omstandigheden (de zogenaamde fraudedriehoek), bestaande uit gelegenheid, druk en rationalisatie zoals hiernaast weergegeven.
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
2.3 Frauderisicobeheersing (2/2)
Onze rol in relatie tot frauderisicobeheersing
11
Onze rol als accountant inzake fraude Zoals weergegeven in de controlestandaarden en onze opdrachtbevestiging ligt de primaire verantwoordelijkheid voor het voorkomen en ontdekken van fraude bij zowel de directie, het college als de gemeenteraad. Als accountant zijn wij niet verantwoordelijk en aansprakelijk voor de preventie van fraude. Onze controleopdracht heeft tot doel om vast te stellen dat de jaarrekening geen afwijkingen van materieel belang bevat die het gevolg zijn van fraude of fouten. Onlosmakelijk onderdeel van de accountantscontrole is daarom: • Het onderkennen van risico’s op materiële fraudes (frauderisico’s); • Het uitvoeren van daarop gerichte controlewerkzaamheden; • Actie ondernemen in het geval van een vermoeden van fraude. Het is voor de accountant lastig om een daadwerkelijk fraude te identificeren. Dit komt doordat de organisatie dagelijks aanwezig is en de accountant niet. Ook wordt het bemoeilijkt doordat fraude gepaard gaat met opgezette plannen om de fraude te verhullen, zoals valsheid in geschrifte, het opzettelijk nalaten transacties vast te leggen of het opzettelijk aan de accountant verkeerd voorstellen van zaken. Samenspanning binnen organisaties of met derde partijen maakt dit vraagstuk nog lastiger.
Door de kenmerken van fraude is het dus mogelijk dat een controle een fraude van materieel belang niet ontdekt, ook al is die opgezet en uitgevoerd in overeenstemming met algemeen aanvaarde controlestandaarden. Voor de organisatie maken wij onze werkzaamheden zichtbaar door het verstrekken van onze fraude- en compliance checklist en het bespreken van en rapporteren over fraude. Vanaf 2022 zullen wij hierover communiceren met het maatschappelijk verkeer via onze controleverklaring.
Onze aanbevelingen in relatie tot frauderisicobeheersing
Onze waarnemingen en aanbevelingen inzake de fraudebeheersing Naast onze controlerende rol hebben wij in het kader van de interim-controle, onze kennis en deze ontwikkeling een aantal bevindingen en aanbevelingen inzake frauderisicobeheersing: Positief is dat de gemeente Meppel beschikt over een klokkenluidersregeling ‘Regeling melden vermoeden misstanden’ en gedragscodes inzake integriteit ten aanzien van de gemeenteraad, B&W en ambtsdragers; De gemeente Meppel heeft geen overkoepelend fraude- of M&O- beleid. In de financiële verordening is bepaald dat de raad op voorstel van het college de uitgangspunten vaststelt voor het beleid voor het voorkomen en bestrijden van misbruik en oneigenlijk gebruik van de gemeentelijke regelingen en eigendommen. Hier is nog geen invulling aan gegeven; De gemeente heeft per heden nog niet een frauderisicoanalyse opgesteld, de planning is dat de analyse januari 2022 gereed is; Het controleplan en de werkzaamheden van de Verbijzonderde Interne Controle besteedt in de toetsing specifieke aandacht aan fraude. In het controleplan is dit nog niet specifiek uitgewerkt. Wij adviseren de gemeente Meppel beleid voor fraude en misbruik en oneigenlijk gebruik op te stellen en vast te laten stellen. Best practices van andere gemeenten en guidance/handboeken zijn bijvoorbeeld via de VNG beschikbaar en kunnen handvatten bieden.
Wij verzoeken u voor aanvang van de jaarrekeningcontrole een frauderisicoanalyse op te stellen. Zo mogelijk kunnen we hier de organisatie bij ondersteunen.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
2.4 Ontwikkelingen in het sociaal domein
12
Ontwikkelingen met betrekking tot het Sociaal Domein en de controle van de jaarrekening 2021 dan wel 2022 Vanuit onze natuurlijke adviesrol willen wij u attenderen op een aantal ontwikkelingen op het gebied van Sociaal domein. Wij schetsen de ontwikkelingen op hoofdlijnen met als doel u te attenderen op deze ontwikkelingen. Dat betekent ook dat wij geen uitgebreid onderzoek hebben uitgevoerd naar deze onderwerpen of ze specifiek hebben gemaakt voor uw organisatie. Resultaatgerichte indiceringen
Uitspraak resultaatgericht indiceren Onlangs is er een uitspraak geweest door de Centrale Raad van Beroep (CRvB) inzake een casus met betrekking tot resultaatgericht indiceren. In deze case is de indicatie van een cliënt voor begeleiding in natura niet langer toegekend in uren, maar in een te behalen resultaat. Uit het ondersteuningsplan blijkt wel welk resultaat moet worden behaald, binnen welke periode, met welke activiteiten en met welke frequentie, maar een tijdsindicatie ontbreekt. De CRvB oordeelt dat een manier van verstrekken die maakt dat een cliënt en een aanbieder niet weten hoeveel, naar tijdseenheden bepaalde, maatschappelijke ondersteuning het college heeft verstrekt, in strijd is met het rechtszekerheidsbeginsel. Dit is voor begeleiding niet anders dan voor huishoudelijke ondersteuning. Wij adviseren u na te gaan in hoeverre u ook resultaatgericht indiceert en waar nodig passende maatregelen te nemen voor boekjaar 2021, voor wat betreft toekomstige indiceringen.
Vanaf 2022 nieuw Woonplaatsbeginsel
Woonplaatsbeginsel Jeugdwet Het woonplaatsbeginsel in de Jeugdwet regelt welke gemeente (financieel) verantwoordelijk wordt. Het huidige woonplaatsbeginsel is gebaseerd op de woonplaats van de gezagsdrager van een jeugdige. Het nieuwe woonplaatsbeginsel, dat vanaf 1 januari 2022 van toepassing wordt, gaat uit van de woonplaats waar de jeugdige staat ingeschreven op het moment van de zorgvraag. Doel van de wetswijziging is het verminderen van administratieve lasten, het sneller kunnen leveren van zorg en ondersteuning aan jeugdigen en het versterken van preventie. Voor gemeenten en zorgaanbieders betekent de implementatie van het nieuwe woonplaatsbeginsel een behoorlijke (administratieve) verandering. Daarom hebben gemeenten en zorgaanbieders uitgesproken behoefte te hebben aan duidelijke afspraken over de implementatie van het woonplaatsbeginsel om onduidelijkheden en discussie te voorkomen. Om die reden zijn aanvullende afspraken gemaakt die zijn vastgelegd in het convenant. Het convenant is vastgesteld door de VNG-commissie Zorg, Jeugd en Onderwijs. Wij adviseren de effecten van deze wijziging in kaart te brengen en uw organisatie voor te bereiden op de veranderende werkwijze.
Nieuwe Wet Inburgering
DASHBOARD
Handreikingen Wet Inburgering Om gemeenten handvatten te geven op het gebied van informatievoorziening bij de invoering van de nieuwe Wet inburgering zijn onlangs twee handreikingen verschenen: De handreiking ‘Gegevensuitwisseling gemeenten en ketenpartners nieuwe Wet inburgering’ en de handreiking ‘Leveranciers’. Beide handreikingen helpen gemeenten op weg met de uitwisseling van gegevens tussen landelijke ketenpartners en de afspraken die zij moeten maken met softwareleveranciers. Wij adviseren kennis te nemen van beide handreikingen en waar nodig actie te ondernemen.
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
2.5 Aandachtspunten jaarrekening 2021
Afkoopsommen grafrechten opnemen als zogenaamde voorziening voor middelen ontvangen van derden (art. 44 lid 2)
13
Afkoopbedragen grafrechten (V&A 2015.40 en 2017.150) Graag attenderen wij u op de wet- en regelgeving rondom de afkoopbedragen inzake grafrechten. De ontvangen (afkoop)bedragen voor het grafonderhoud worden als bijdragen van derden beschouwd voor een al dan niet kostendekkende jaarlijkse dienstverlening. De ontvangen afkoopbedragen worden opgenomen in een voorziening ex artikel 44-2 BBV. De ontvangen afkoopsommen vormen een verplichting aan degene die de afkoopsom heeft betaald en zal door de gemeente aan het onderhoud van de betreffende graven moeten worden besteed. Derhalve is het vormen van een voorziening verplicht (BBV art. 44 lid 2). Het gaat hier om van derden verkregen middelen met een specifieke bestedingsplicht. Wij vragen u om voorafgaand aan het opstellen van de jaarrekening 2021 te inventariseren of deze situatie bij uw gemeente van toepassing is. Notitie Materiële vaste activa en asset management Mede naar aanleiding van de ontwikkelingen in de BBV (zie 2.1), hebben wij kennis genomen van de paragraaf onderhoud kapitaalgoederen in de jaarrekening 2020 en de gemeente gevraagd een analyse op hoofdlijnen op te stellen over hoe het assetmanagement is geregeld ten aanzien de hoofdcategorieën van de gemeentelijke bezittingen.
Op basis van de jaarrekening 2020 betreft dit dan met name woonruimten, bedrijfsgebouwen, grond-, weg- en waterbouwkundige werken, vervoermiddelen en machines/installaties.
Relevante vragen n.a.v. notitie MVA en asset management
Belangrijke vragen vanuit het perspectief van assetmanagement en de notitie MVA betreffen: Zijn alle wezenlijke activa/assets geregistreerd in een activaregister, ook die eventueel off balance staan, geen boekwaarde meer hebben, in het verleden niet geactiveerd zijn en/of weinig/geen boekwaarde meer hebben? In hoeverre zijn inventarisaties hiervan actueel? Bestaan er t.a.v. deze assets actuele beheersplannen? Zo ja, van welk jaar dateren die, hoe worden die geactualiseerd en met welke frequentie? Leiden de beheersplannen tot een (materieel) goede inschatting van de lasten in de jaarrekening en/of begroting en wordt dit intern gemonitord? Hoe zijn deze inschattingen financieel verwerkt gedekt? Zijn er adequate voorzieningen getroffen voor achterstallig onderhoud danwel zijn de onderhoudskosten adequaat afgedekt in meerjarenperspectief? Zitten hier mogelijk nog (significant) risico’s en mogelijke tekorten in?
Position Paper inzake analyse assets noodzakelijk
Wij adviseren/verzoeken de gemeente Meppel een goede analyse (position paper) te maken ter onderbouwing van de jaarrekening, zowel t.a.v. een eventuele voorziening achterstallig onderhoud als t.b.v. de paragraaf onderhoud kapitaalgoederen.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
14
3. Bevindingen significante processen
3.1 Onze controle 3.2. Effectiviteit processen 3.3 Overzicht van de bevindingen
3.1 Onze controle
15
Inleiding Zoals afgelopen jaar aangegeven, nemen de eisen die worden gesteld aan de accountantscontrole toe. Wij vinden het daarom van groot belang dat wij inzicht geven in de normen en verwachtingen ten aanzien van onze controle en de vertaling hiervan specifiek voor de gemeente Meppel. Alleen dan gaat de discussie niet alleen over de kwaliteit van de accountantscontrole, maar vooral ook over de wijze waarop de gemeente hiervan kan profiteren. In deze management letter hebben wij daarom meer in detail uitgelegd op welke wijze wij de controle hebben ingericht en welke afwegingen wij daarbij maken. Wij doen dat door in deze paragraaf onze risico-inschatting, belangrijkste processen, controleaanpak en afwegingen te beschrijven. Interne beheersing niet altijd voldoende zichtbaar/aantoonbaar
Ambitie en risicobereidheid college Zoals in onze managementletter 2020 en eerder uitvoerig is gerapporteerd constateren dat wij dat wij in onze controle van de gemeente Meppel, overigens net als bij veel andere overheidsorganisaties, nog niet kunnen steunen op de interne beheersing. Dit betekent niet dat gemeente Meppel niet in control is, maar dat deze niet voldoende voldoet aan onze gestelde norm. In onze visie betreft de norm dat alle (significante) processen in opzet, bestaan en werking (inclusief IT) gedurende het gehele jaar goed werken en intern getoetst worden door uw VIC. Die norm kan er toe leiden dat gemeenten beter in control zijn en eventuele risico’s eerder signaleren. Deze norm en dit niveau van interne beheersing vraagt echter wel de nodige inspanning en ambitie en de vraag is of en op welke termijn u deze wil/kan realiseren.
Gemeente maakt bewuste afweging in risicobereidheid
In 2020 heeft de gemeente Meppel haar ambitie en risicobereidheid tot uiting gebracht in position papers. Wij hebben met de gemeente Meppel afgesproken niet uitgebreid te rapporteren over de detailbevindingen, waarbij de gemeente heeft onderbouwd het risico te accepteren. Deze specifieke risico’s zijn verkort weergegeven in bijlage B – Geaccepteerde risico’s. In de overzichten op de volgende pagina’s geven wij weer in hoeverre de processen voldoen aan de genoemde normen en welke detailbevindingen wij per proces hebben geconstateerd. In bijlage A zijn detailbevindingen opgenomen betreffende processen waarin de gemeente Meppel heeft aangegeven ambitie te hebben de interne beheersing te optimaliseren dan wel nieuwe constateringen.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
3.2 Effectiviteit processen
PROCES
OPZET AO/IB
BESTAAN AO/IB
Planning & Control
16
ITGC’S
CONCLUSIE T.A.V. DE CONTROLEAANPAK
n.v.t.
Er is sprake van een adequaat functionerende planning & control-cyclus.
Inkopen & Aanbestedingen
Controle crediteurenstamgegevens, preventieve controle aanbesteden en controle prestatielevering nog niet van voldoende niveau.
Personeel
n.v.t.
Proces personeelskosten is adequaat.
Sociaal Domein
Controle op prestatielevering en kwaliteitstoets voor Jeugdzorg stappen gemaakt, WMO blijft achter.
Uitkeringen
Interne beheersingsmaatregelen in het proces vinden voornamelijk digitaal plaats. Door de hiaten in de IT-omgeving, is een gegevensgerichte aanpak noodzakelijk.
Subsidies
n.v.t.
Geen tussentijdse aansluiting tussen de subadministratie en financiële administratie. Geen sluitende controle omtrent de vaststelling van subsidies. Geen controle omtrent onderscheid subsidies en overheidsopdrachten.
Belastingen
Proces rondom belastingen is adequaat.
Verhuur
De opzet is ingericht voor verhuurproces, het inrichten van voldoende AO/IB aangaande het proces verhuur betreft de vervolgstap, BDO kiest voor een gegevensgerichte controleaanpak.
Grondexploitaties
n.v.t.
ICT / automatisering
proces is ontoereikend
DASHBOARD
Actuele AO-beschrijving ontbreekt. VIC-werkzaamheden zien niet op de juiste waardering van de grondexploitaties.
n.v.t.
Ten aanzien van ICT zijn net als voorgaande boekjaren belangrijke aandachtspunten.
proces is toereikend, maar één of meerdere beheersmaatregelen bestaan in de praktijk niet
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
proces is adequaat/beheersmaatregelen bestaan
INTERNE CONTROLE
BIJLAGEN
hoog
3.3 Overzicht van de bevindingen
KORTE OMSCHRIJVING DETAILBEVINDINGEN
1
B3 B2
7 B1
3 5
4 6
2
laag
IMPACT
17
laag
1
Inkopen & Aanbestedingen – Toetsing naleving aanbestedingsregels niet geborgd
2
Inkopen & Aanbestedingen – Prestatielevering toetsing onvoldoende zichtbaar in proces
3
Inkopen & Aanbestedingen – Functiescheiding beheer crediteurenstamgegevens niet geborgd
4
Sociaal domein – Zichtbaarheid aard en diepgang kwaliteitstoets WMO en Jeugd onvoldoende
5
Sociaal domein – Controle prestatielevering onvoldoende zichtbaar
6
Subsidies – Proces vaststelling subsidies onvoldoende verwerkt in de workflow
7
Subsidies – Onderscheid subsidies en overheidsopdrachten wordt niet zichtbaar getoetst
8
Verhuur – Controle op volledigheid verhuuropbrengsten onvoldoende aanwezig
B1
Logische toegangsbeveiliging – vastgestelde autorisatiematrices ontbreken
B2
Wijzigingenbeheer updates – Geen sprake van periodiek reviews
B3
IT-continuïteit – Restore-tests zijn onvoldoende zichtbaar
8 KANS
hoog
Detailbevindingen voor boekjaar 2021, zie bijlage A Gemeente Meppel accepteert het beschreven risico, zie bijlage B
Hierboven is een grafische weergave opgenomen van onze visie op de mate van risico en impact van de geconstateerde bevindingen in relatie tot de maatregelen van interne beheersing in de relevante processen. In de bijlagen hebben wij de bevindingen nader toegelicht waarin wij ingaan op de bevinding, het risico voor de organisatie, mogelijke oplossingen ter adressering van de bevindingen en de eventuele gevolgen voor onze accountantscontrole. Voor de bevindingen die belangrijk zijn én een hoge impact hebben adviseren wij u deze zo spoedig mogelijk te adresseren.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
18
4. IT-beheersing 4.1 IT-beheersing 4.2 Actuele IT- ontwikkelingen en onze natuurlijke adviesrol
4.1 IT-beheersing
Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening
19
IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van IT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking.
Beoordeelde systemen: Key2Financiën Suite4SociaalDomein Detailbevindingen IT weergegeven in Bijlage B
De bevindingen zoals gerapporteerd in deze management letter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen. Wij hebben in samenwerking met onze IT-auditors een aantal van deze maatregelen beoordeeld voor Key2Financiën en Suite4SociaalDomein. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevante processen en posten (zie hoofdstuk 3). In dit hoofdstuk geven wij een samenvatting van onze bevindingen voor de genoemde applicaties. De detailbevindingen rondom deze systemen zijn opgenomen in Bijlage B. De kern van deze bevindingen zijn als volgt:
Geen formele autorisatiematrices aanwezig en toekenning op basis van voorbeeldgebruikers; Gebruikersreview onvoldoende vastgelegd; Geen zichtbare beoordeling op release notes en toegang tot service-ruimte is .
Op het moment dat de intern getroffen algemene IT-beheersmaatregelen rondom de applicaties in scope niet (bewijsbaar) voldoende aanwezig zijn, zijn in het kader van de controle van de jaarrekening 2021 aanvullende (gegevensgerichte) werkzaamheden noodzakelijk om aan te tonen dat er zich geen risico’s of fouten hebben voorgedaan.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
4.2 Actuele IT- ontwikkelingen en onze natuurlijke adviesrol
Verwerking van politiegegevens door Boa’s op een veilige wijze
20
Wet politiegegevens (Wpg) Strafrechtelijke gegevens zijn beschermd door de Wet politiegegevens (Wpg). De Wpg stelt eisen aan de verwerking van persoonsgegevens die worden gebruikt bij de uitoefening van de politietaak. Per 6 februari 2019 is het besluit politiegegevens buitengewoon opsporingsambtenaar (hierna: Bpg boa) in werking getreden. Sindsdien verwerken boa’s politiegegevens onder het regime van de Wpg. De Wpg schrijft voor dat: ‘Twee jaren na inwerkingtreding van de wet, en vervolgens eenmaal in de vier jaren, laat de verwerkingsverantwoordelijke de uitvoering van de bij of krachtens de wet gegeven regels door een privacy audit controleren, op bij ministeriële regeling te bepalen wijze.2’ (Besluit politiegegevens (Bpg), artikel 6:5 lid 1). Wanneer een gemeente gebruik maakt van boa’s is het verwerkingsverantwoordelijk. Hieruit volgt dat gemeente Meppel (de verwerkingsverantwoordelijke) ofwel de werkgever van de boa in het kalenderjaar 2021: Een externe privacy audit Wpg moet laten uitvoeren in 2021 (tweede auditronde valt in 2025) door een onafhankelijke externe en gekwalificeerde RE-auditor; Tenminste jaarlijks een interne audit moet plaatsvinden door uw organisatie.
Doel en afbakening van de Wpg-audit
Wij hebben begrepen dat de gemeente op de hoogte is van de voorgenoemde vereisten. De Autoriteit Persoonsgegevens (AP) heeft besloten uitstel te verlenen voor het aanleveren van de externe auditrapportage Wpg 2021. Half oktober heeft het college besloten over de Inzet op audit Wpg. In het memo “Inzet op audit Wpg” is beschreven om proactief de Autoriteit Persoonsgegevens te informeren en geen externe audit uit te voeren in 2021. De gemeente Meppel kan daarom gebruik maken van de uitstelregeling. Per heden is door de gemeente Meppel een projectleider aangetrokken om onze werkprocessen in te richten conform de Wpg. In Q4 2022 is de gemeente Meppel voornemens een externe audit uit te voeren. Object van onderzoek Het object van onderzoek van een privacy audit Wpg bestaat uit de verwerking(en) van politiegegevens die onder verantwoordelijkheid van de verwerkingsverantwoordelijke worden verwerkt. De verwerkingsverantwoordelijke is verplicht om een onafhankelijk assurance-rapport van de externe privacy audit naar de toezichthouder, de Autoriteit Persoonsgegevens (AP), te sturen. De Wpg stelt, net als de AVG, dat de verwerkingsverantwoordelijke ‘passende’ technische en organisatorische maatregelen moeten treffen voor onder andere de beveiliging- en het ontwerp- van informatiesystemen. Het is afhankelijk van de specifieke situatie wat passend zal zijn.
Graag denken wij tijdig met u mee over de impact van deze wetgeving, zodat geborgd kan worden dat de uitkomsten dienstbaar zijn aan de interne (en externe) audit.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
21
5. Bevindingen interne controle
5.1 Verbijzonderde interne controle
5.1 Verbijzonderde interne controle
22
Evenals afgelopen jaren constateren wij dat de kwaliteit van de VIC zodanig is dat wij in goede samenwerking gebruik kunnen maken van de door de VIC voorbereide werkzaamheden. In lijn met voorgaande jaren rapporteren wij vanuit dit uitgangspunt met betrekking tot de Verbijzonderde Interne Controle (VIC) van de gemeente als volgt: De VIC voert haar onderzoeken onafhankelijk van het betreffende lijnmanagement uit op basis het jaarlijks opgestelde intern controleplan, in samenwerking met de samenwerkende gemeenten (Steenwijkerland, Zwartewaterland en Westerveld). Op basis van vooral wet- en regelgeving worden onderzoeken uitgevoerd in het kader van doelmatigheid, doeltreffendheid en rechtmatigheid. Tevens wordt hierbij de betrouwbaarheid van de financiële informatievoorziening en de effectiviteit en efficiency van de bedrijfsprocessen in kaart gebracht. De geplande onderzoeken komen tot stand op basis van risico-inschatting, actualiteit en bestuurlijke relevantie. Vanuit de 4-varianten die wij voorgaand jaar hebben beschreven in onze management letter, kwalificeert de VIC van gemeente Meppel vooralsnog in een combinatie van variant 1 en 2. Zie onderstaand een korte samenvatting van de varianten: 1. de VIC als instrument om de aanlevering van stukken aan de accountant te verbeteren; 2.
de VIC als onderdeel van het interne beheersingskader om toezicht te houden op de uitvoering van interne beheersingsmaatregelen; 3. de VIC als interne beheersingsmaatregel, waarop de accountant kan steunen bij zijn organisatiegerichte werkzaamheden; 4. de VIC als interne auditfunctie (IAF, zoals bedoeld in Standaard 610). Verdere ontwikkeling mogelijk door de VIC zelfstandiger vooraf een risicoanalyse te laten opstellen en door te rapporteren over bevindingen zodat ook een basis aanwezig is voor de rechtmatigheidsverantwoording
DASHBOARD
Voor boekjaar 2021 is de VIC van de gemeente Meppel primair gericht op het uitvoeren van de in het jaarplan opgenomen (gegevensgerichte) testaantallen. Samen met de gemeente Meppel concluderen wij dat het op dit moment niet realistisch om te voldoen aan de eisen van de COS 610 (variant 4) c.q. dit op korte termijn ook niet het streven is/moet zijn. Een verdere ontwikkeling van de VIC in het licht van de aanstaande rechtmatigheidsverantwoording door het college is gewenst. De diepgang van de VIC-rapportages kan daarbij verder geformaliseerd worden. Voor een goede invulling hiervan lijkt een opschaling naar categorie 3 minimaal noodzakelijk. Alleen dan ontstaat er immers een VIC die op grond van expliciete afwegingen en risico-inschattingen op basis van voldoende eigen werkzaamheden kan komen tot een zelfstandige rapportage en oordeelsvorming richting het college. Voor het college is dit dan de basis waarop zij tot haar rechtmatigheidsverantwoording kan komen. Het is voor de gemeente Meppel de uitdaging om de meerwaarde van de VIC te vergroten door middel van meer procesgerichte controles uit te voeren en halfjaarlijkse rapportering te formaliseren. Dit om zodoende richting variant 3 te groeien.
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTOLE
BIJLAGEN
23
Bijlagen
A
Detailbevindingen processen
B
Geaccepteerde risico’s
24
A. Detailbevindingen processen
Factsheet | Planning & Control
NORMEN EN VERWACHTINGEN T.A.V. PROCES
25
INSCHATTING OPZET INTERNE BEHEERSMAATREGELEN BEHEERSMAATREGELEN IN HET PROCES
Actuele planning voor de rapportagemomenten
Stramien voor het opstellen van specificaties bij een rapportage
Stramien voor het opstellen van een rapportage (tussentijds dan wel jaarrekening)
Controle op juistheid en volledigheid van de opgenomen gegevens in de rapportage
Vaststellen dat de informatie welke ten grondslag ligt aan de rapportage betrouwbaar tot stand is gekomen
Vaststellen dat de voorafgaande en nagekomen journaalposten zichtbaar worden gecontroleerd op toelaatbaarheid en juiste verwerking
3. Controle op verwerking begrotingswijzigingen
Verbijzonderde interne controle op interne beheersmaatregelen
4. Totstandkoming tussentijdse rapportages
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK CONCLUSIE
OPMERKINGEN
Opzet en bestaan AO/IB
Alle belangrijke procesrisico’s worden afgedekt
IT-beheersmaatregelen
Niet in scope voor IT
VIC op proces
Maakt geen onderdeel uit van het jaarplan IC
Conclusie proces
Wij kunnen gedeeltelijk steunen op het proces
Conclusie controleaanpak
DASHBOARD
1. Controle/functiescheiding opstellen rapportage en de controle hierop 2. Totstandkoming en autorisatie begroting(wijzigingen)
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN Deelwaarneming op de memoriaalboekingen 2021 Deelwaarneming op de transitorische posten ultimo boekjaar
Combinatie systeemgericht/gegevensgericht
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Factsheet | Inkopen & Aanbestedingen
NORMEN EN VERWACHTINGEN T.A.V. PROCES
INSCHATTING OPZET INTERNE BEHEERSMAATREGELEN BEHEERSMAATREGELEN IN HET PROCES
Actuele AO-beschrijving
Vastgesteld inkoopbeleid en analyse inkoop
Budgethoudersregeling op papier en in systeem
Contract- en/of verplichtingenadministratie
Sluitende interne beheersing op rechtmatigheidsrisico aanbestedingen
Functiescheiding in financieel systeem t.a.v. bestellen/budget/prestatie (3-way match)
Sluitende controle betalingsverkeer en crediteurenstamgegevens
Sluitende IT General Controls rondom het IT-systeem
Verbijzonderde interne controle op interne beheersmaatregelen
Controle op betrouwbaarheid en juistheid van betaallijsten
Interne analyse spendanalyse
1. Sluitende interne beheersing op rechtmatigheidsrisico aanbestedingen
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK CONCLUSIE
OPMERKINGEN
Opzet en bestaan AO/IB
Bevindingen omtrent aanbesteden, betalingen en crediteurstamgegevens (zie bijlage B)
3. Controle op betaalbestand 4. Controle op mutaties crediteurenstamgegevens
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN
Gedetailleerde spendanalyse interne aanbestedingsnormen Steekproef op juistheid lasten en betalingen
Steekproef op prestatielevering
Zie IT-bevindingen
VIC op proces
Proces is onderdeel van het IC-plan
Conclusie proces
Wij kunnen niet volledig steunen op het proces
DASHBOARD
2. Functiescheiding t.a.v. bestellen/budget/prestatie
Gedetailleerde spendanalyse EU-aanbestedingen
IT-beheersmaatregelen
Conclusie controleaanpak
26
Analyse BTW-codering Controle juistheid activering/exploitatie/onderhoud
Gegevensgericht
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Factsheet | Personeel
27
NORMEN EN VERWACHTINGEN T.A.V. PROCES
INSCHATTING OPZET INTERNE BEHEERSMAATREGELEN BEHEERSMAATREGELEN IN HET PROCES
Actuele AO-beschrijving
Vastgestelde arbeidsvoorwaarden, actueel declaratiereglement
Autorisatiematrix bevoegdheden
Toetsingskader naleving CAO-voorwaarden in relatie tot opgestelde arbeidsovereenkomsten
Vierogenprincipe omtrent controle mutaties salarisadministratie
Sluitende IT General Controls rondom de IT-omgeving
Controle op betrouwbaarheid en juistheid van betaallijsten
Verbijzonderde interne controle op interne beheersmaatregelen
Uitwerking VIC WNT conform het BDO-werkprogramma
Autorisatiematrix bevoegdheden op papier en in systeem
Interne analyse personeelskosten
1. Controle/functiescheiding verwerking mutaties salarisadministratie 2. Autorisatie arbeidsovereenkomst conform mandaat
3. Controle bruto-/netto-berekening 4. Interne controle op volledige mutatieverwerking salarisadministratie 5. Aansluiting subadministratie met financiële administratie
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK CONCLUSIE
OPMERKINGEN
Opzet en bestaan AO/IB
Alle procesrisico’s worden afgedekt
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN Aansluiting salarisadministratie financiële administratie Cijferanalyse loonkosten Voorbereiding WNT-controle door de VIC
IT-beheersmaatregelen
Niet in scope voor IT
VIC op proces
Proces onderdeel van het IC-plan
Conclusie proces
Wij kunnen steunen op het reguliere personeelsproces
Conclusie controleaanpak
DASHBOARD
BDO kiest voor een gegevensgerichte aanpak
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Factsheet | Sociaal Domein
28
NORMEN EN VERWACHTINGEN T.A.V. PROCES
INSCHATTING OPZET INTERNE BEHEERSMAATREGELEN BEHEERSMAATREGELEN IN HET PROCES
Actuele AO-beschrijving aansluitend op de WMO/Jeugd verordening
Richtlijnen t.b.v. de uit te voeren uniforme interne controles
Budgethouders regeling op papier en in systeem
Autorisatiematrix
Toetsingskader rechtmatigheid WMO en jeugdwet
Sluitende interne beheersing op rechtmatigheidsrisico toekenning
Functiescheiding in sub administratie t.a.v. de aanvraag en de beschikking
Ingevulde checklist/onderzoeksrapport per WMO/jeugd aanvraag
Functiescheiding tussen degene die de beschikking afgeeft (budgethouder) en degene die de prestatielevering vaststelt bij ontvangst declaratie
4. Autorisatie op prestatielevering door hiertoe bevoegde functionaris
Verbijzonderde interne controle op aanvraag/doorverwijzing – en toekenningen
5. Controle op betaalbestand
1. Autorisatie / functiescheiding tussen consulent die aanvraag beoordeelt en functionaris die beschikking goedkeurt en afgeeft 2. Uniform toetsing-/beoordelingskader voor ontvangen aanvragen en voldoen aan wettelijke vereisten 3. Richtlijnen/beleid inzake de WMO
6. Evaluatie bij her-aanvraag
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK CONCLUSIE
OPMERKINGEN
Opzet en bestaan AO/IB
Niet alle procesrisico’s worden zichtbaar afgedekt
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN Aansluiting vaststellen tussen de financiële administratie en de sub-administratie Uitgebreide steekproef op juistheid WMO en Jeugd lasten Uitgebreide steekproef op prestatielevering (inclusief PGB)
Incasso van eigen bijdrages vaststellen a.d.h.v. CAK opgave (WMO)
IT-beheersmaatregelen
Zie IT-bevindingen
VIC op proces
Proces is onderdeel van het IC-plan
Conclusie proces
Wij kunnen niet volledig steunen op het proces
Conclusie controleaanpak
DASHBOARD
Verschillen analyse budget versus realisatie
Combinatie systeemgericht/gegevensgericht
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen processen | Sociaal domein
29
Bevinding
4. ZICHTBAARHEID AARD EN DIEPGANG KWALITEITSTOETS WMO EN JEUGD
KANS: Middel
Jaar van constatering
2018
IMPACT: Middel
Onze bevinding/ constatering
Voor de gemeente Meppel is het van belang dat een aanvraag binnen het sociaal domein getoetst wordt aan de daarbij gestelde normen. In de workflow van de gemeente Meppel is gewaarborgd dat bij een aanvraag een kwaliteitstoets dient plaats te vinden. Deze stap is zichtbaar aanwezig in het proces en achteraf kan worden vastgesteld wie de kwaliteitstoets heeft uitgevoerd. Echter, wij kunnen niet vaststellen op welke elementen/normen de kwaliteitsmedewerker bij het goedkeuren heeft getoetst, omdat dit niet wordt gedocumenteerd. Dit heeft tot gevolg dat de kwaliteitstoets die de gemeente Meppel uitvoert achteraf niet inhoudelijk getoetst kan worden en daarom geen zekerheid geeft in de interne en externe controle. Hierdoor kan niet systeemgericht gesteund worden op de werkzaamheden van de gemeente Meppel.
Geconstateerde opvolging in 2021
Gemeente Meppel heeft maatregelen getroffen om inhoud en diepgang van de kwaliteitstoets beter zichtbaar te maken. De gemeente maakt voor toetsing op aanvragen jeugdzorg en WMO gebruik van eigen kwaliteitschecklisten. Voor WMO geldt dat de toetsing als gevolg van Covid-19 en hoge werkdruk niet het gehele jaar is uitgevoerd.
De toetser vult de checklist in op basis van ‘ja’, ‘Nee’ of ‘niet van toepassing’ antwoordmogelijkheden. De checklist dwingt toelichting op het gekozen antwoord niet af. Hierdoor is achteraf niet zichtbaar of de kwaliteitstoets inhoudelijk correct is uitgevoerd.
Risico/gevolg
Doordat de checklist toelichting op het gekozen antwoord niet afdwingt is achteraf onvoldoende zichtbaar en controleerbaar of aan de verordening voldaan wordt. Vanuit onze controle constateren wij dat voor de WMO niet in alle gevallen voldaan wordt aan artikel 4 lid 3 (identificatieplicht) van uw Verordening sociaal domein gemeente Meppel. Gezien de complexiteit van de regelgeving bestaat het risico op onjuiste en onrechtmatige toekenning en betaling van uitkeringen in het kader van de WMO.
Ons advies/ uw aanvullende werkzaamheden
Wij adviseren u de toepassing van de checklist te optimaliseren door toelichting op het gekozen antwoord af te dwingen. Zo is achteraf zichtbaar op welke basis een verstrekking toegekend is. Specifiek voor de WMO raden wij u aan maatregelen te treffen om de checklist het gehele jaar te hanteren. Systeemgericht kan niet gesteund worden op de kwaliteitstoets binnen de workflows. Om die reden zullen wij, evenals voorgaand jaar, voor aanvragen achteraf gegevensgericht vaststellen of de kwaliteitstoets inhoudelijk correct is uitgevoerd.
Reactie management/ Opvolging
Het advies om een toelichting op het gekozen antwoord af te dwingen vergt veel capaciteit en is op dit moment praktisch niet uitvoerbaar. Wij zijn voornemens om een ‘toetsplan sociaal domein’ op te stellen in samenspraak met de adviseur VIC. In het toetsplan wordt vastgelegd wat de criteria zijn bij het toetsen. Door het vastleggen van de criteria waaraan getoetst wordt, zijn de afspraken helder, eenduidig en in overeenstemming met de geldende wet- en regelgeving. In SSD is achteraf altijd zichtbaar wie getoetst heeft. Hiermee voldoen wij ons inziens wel in de geest en niet in de letter aan de doelstelling die wij uit het advies destilleren.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen processen | Sociaal domein
30
Bevinding
5. CONTROLE PRESTATIELEVERING
KANS: Middel
Jaar van constatering
2016
IMPACT: Middel
Onze bevinding/ constatering
De gemeente Meppel is verantwoordelijk voor het vaststellen van de prestatielevering van de zorg. De gemeente heeft in het proces een beheersmaatregel t.a.v. de zorgprestatielevering toegevoegd. Een medewerker van de gemeente stelt, in functiescheiding, middels een telefonisch gesprek vast of de zorg geleverd wordt en legt dit vast in een enquêteformulier. Het invullen van dit enquêteformulier wordt echter niet in alle gevallen afgedwongen. Daarnaast is de authenticiteit van in de inhoud van het enquêteformulier achteraf lastig vast te stellen.
Geconstateerde opvolging in 2021
Gemeente Meppel heeft in 2020 maatregelen getroffen om controle op de prestatielevering ook voor jeugdzorg af te dwingen in het proces. In 2021 is deze maatregel uitgebreid en ook voor WMO toegepast. De gemeente maakt voor toetsing op de prestatielevering gebruik van een prestatieonderzoek-checklist. De kwaliteitsmedewerker controleert of voor alle dossiers een prestatieonderzoek geboekt is, hiermee waarborgt de gemeente volledige toetsing binnen de jeugdzorg en WMO. Het kwaliteitsonderzoek wordt niet getekend door de cliënt, de bevinding ten aanzien van de authenticiteit van de inhoud van het prestatieonderzoek blijft derhalve staan.
Risico/gevolg
Het risico bestaat dat de gemeente ten onterechte voor zorg betaalt en in de jaarrekening verantwoord, terwijl voor deze indicaties niet altijd de prestaties zijn geleverd.
Ons advies/ uw aanvullende werkzaamheden
Wij constateren dat de gemeente Meppel deels follow-up heeft gegeven aan onze bevinding en een stap heeft gezet t.a.v. de prestatielevering in de Jeugdzorg en WMO. Om de authenticiteit van het prestatieonderzoek te waarborgen adviseren wij u het prestatieonderzoek ter verificatie te delen met de cliënt. Om bovenstaand risico te mitigeren, zullen wij aanvullende gegevensgerichte controles uitvoeren op de productieverantwoordingen van de zorginstellingen.
Reactie management/ Opvolging
Het zorg-prestatie-onderzoek is bedoeld om te controleren of de ondersteuning conform beschikking geleverd is. Dit verifiëren wij bij de cliënt. Als deze bevestigt dat conform geleverd is, is dat een gegeven en is het niet meer nodig om daar nog extra controles op uit te voeren. Als niet of beperkt geleverd is, zal de betrokken consulent actie ondernemen om of alsnog ervoor te zorgen dat er geleverd wordt, of verantwoorden waarom er minder geleverd is dan vooraf afgesproken, uiteraard in afstemming met de cliënt. Kortom, de door u voorgestelde werkwijze zullen wij niet overnemen omdat wij van mening zijn dat wij het doel van uw advies, vast te kunnen stellen of geleverd is conform beschikking, ook met onze huidige werkwijze 100% kunnen vaststellen.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Factsheet | Participatiewet
31
NORMEN EN VERWACHTINGEN T.A.V. PROCES
INSCHATTING OPZET INTERNE BEHEERSMAATREGELEN
Actuele AO-beschrijving aansluitend op de verordening Participatiewet
Richtlijnen ten behoeve van de uit te voeren uniforme interne controles
Totaalanalyse (realisatie versus budget) per categorie in de Participatiewet
Autorisatiematrix
Gehanteerd toetsingskader rechtmatigheid per participatiewet categorie
Primaire functiescheiding tussen toetsing van de aanvraag, de toekenning en uitbetaling
In te vullen checklisten per categorie in de Participatiewet
Sluitende IT General Controls
Verbijzonderde interne controle op uitkeringsaanvragen – toekenningen, stopzetting, afwijzingen en uitbetalingen
BEHEERSMAATREGELEN IN HET PROCES 1. Autorisatie/functiescheiding tussen consulent, definitieve toekenning en uitbetaling 2. Uniform toetsings-/beoordelingskader voor ontvangen aanvragen en het evaluaties 3. Richtlijnen/beleid inzake de Participatiewet 4. Vierogenprincipe bij wijziging bankrekeningnummers van uitkeringsgerechtigden 5. Controle op betaalbestand tevens in relatie tot openstaande vorderingen